Como identificar qual pessoa com acesso raiz matou um trabalho / processo de um pool

Eu estava curioso para saber se há 3 ou 4 pessoas que tenham acesso root a um nó. uma pessoa iniciou um trabalho para correr, mas alguém matou o trabalho que estava sendo executado. qual seria a melhor maneira de identificar a pessoa que matou o trabalho / processo porque cada corpo tem acesso root.

Impossível sem auditoria adequada habilitada. Sem auditoria você só pode adivinhar com base em carimbos de data e hora em quando exatamente o trabalho foi morto (se você tiver essas informações) e quais usuários foram conectados. Eu acho que eles estão logando como usuários normais e usando algo como su ou sudo para se tornar raiz.

Sobre auditoria - basic seria ter um script de login para root que definiria um arquivo de histórico diferente baseado em quem está mudando para root. Para uma auditoria mais sofisticada (o próprio log do kernel que o usuário faz o quê), procure no Google por "auditoria do Linux".